LiteLLM v1.82.8 Compromise Utilise un Fichier .pth pour une Exécution Persistante
Détails de la compromission
Les versions 1.82.7 et 1.82.8 de LiteLLM ont été compromises sur PyPI la semaine dernière. La charge utile de la v1.82.8 est particulièrement préoccupante car elle utilise un fichier .pth dans site-packages qui exécute du code arbitraire à chaque démarrage d'un processus Python.
Le site.py de Python traite les fichiers .pth au démarrage de l'interpréteur, et toute ligne commençant par 'import' est exécutée. Cela signifie que le code malveillant s'exécute même si vous avez LiteLLM installé comme dépendance transitive et ne l'importez ou ne l'utilisez jamais directement.
Impact et distribution
Selon les données de Wiz, LiteLLM est présent dans 36% des environnements cloud comme dépendance transitive. Il est tiré par :
- Les frameworks d'agents IA
- Les serveurs MCP
- Les outils d'orchestration LLM
Réponse et renforcement
La source inclut un guide de renforcement couvrant cette vulnérabilité spécifique et neuf autres mesures liées à la campagne plus large de la chaîne d'approvisionnement TeamPCP. La section de démarrage rapide pour les ingénieurs Python/IA décrit trois actions immédiates à prendre cette semaine.
Pour des étapes d'atténuation détaillées et le guide complet de renforcement, consultez l'avis à : https://raxe.ai/labs/advisories/RAXE-2026-045
📖 Read the full source: r/LocalLLaMA
👀 See Also
Claude Code Identifie un Backdoor Malveillant dans un Dépôt GitHub lors d'un Audit Technique
Un développeur a utilisé Claude Code pour auditer un dépôt GitHub avant son exécution et a découvert une porte dérobée d'exécution de code à distance dans src/server/routes/auth.js qui aurait compromis sa machine. L'invite demandait un audit de diligence technique vérifiant l'exhaustivité du projet, la couche IA/ML, la base de données, l'authentification, les services backend, le frontend, la qualité du code et une estimation de l'effort.
Agent Hush : Un outil open-source empêche les agents d'IA de codage de divulguer des données sensibles
Agent Hush est un outil open source qui intercepte discrètement les données sensibles avant qu'elles ne quittent votre machine. Il a été créé après qu'un agent d'IA de développement d'un programmeur a divulgué des clés API, des adresses IP de serveurs et des informations personnelles dans un dépôt GitHub public lors de la création d'un projet de sécurité.
Fonctionnalité d'assistance IA de Meta permet de pirater les comptes Instagram — Détails de l'exploit à l'intérieur
Une fonctionnalité de support IA d'Instagram, testée A/B, permet aux attaquants de réinitialiser les mots de passe en demandant à l'agent d'envoyer un code à un e-mail arbitraire. Plus de 100 comptes de grande valeur ont été détournés.
Anthropic rapporte des attaques de distillation à l'échelle industrielle par des laboratoires d'IA chinois sur Claude.
Anthropic a détecté trois entreprises chinoises d'IA—DeepSeek, Moonshot et MiniMax—créant plus de 24 000 comptes frauduleux pour générer plus de 16 millions d'échanges avec Claude, extrayant ses capacités de raisonnement par des attaques de distillation systématiques.